LINUX.ORG.RU

В Debian намерены добавить Rust в число обязательных зависимостей к APT

 , , ,


1

6

Джулиан Андрес Клоде (Julian Andres Klode), основной сопровождающий проект APT, объявил о решении добавить код на языке Rust в пакетный менеджер APT, а также включить в число обязательных зависимостей компилятор Rust, стандартную библиотеку Rust и PGP-инструментарий от проекта Sequoia, написанный на Rust. Изменения намерены реализовать не раньше мая 2026 года, чтобы дать разработчикам портов Debian полгода на реализацию корректной работы инструментария Rust или сворачивание порта.

На Rust планируют реализовать компоненты APT, требующие повышенного внимания с точки зрения безопасности, такие как парсеры форматов deb, ar и tar, а также код для проверки цифровых подписей. Ранее, в состав APT 3.0 уже была добавлена возможность использования написанной на Rust утилиты sqv для проверки цифровых подписей вместо вызова gpgv.

Андреас обосновывает предстоящее изменение важностью того, чтобы «проект мог двигаться вперёд и опираться на современные инструментарии и технологии, а не буксовать, пытаясь заставить работать современное программное обеспечение на устаревших системах».

Ранее сообщалось, что из-за ошибки в uutils в Ubuntu 25.10 перестала работать автоматическая проверка наличия обновлений.

Оригинал:

Hi all,

I plan to introduce hard Rust dependencies and Rust code into
APT, no earlier than May 2026. This extends at first to the
Rust compiler and standard library, and the Sequoia ecosystem.

In particular, our code to parse .deb, .ar, .tar, and the
HTTP signature verification code would strongly benefit
from memory safe languages and a stronger approach to
unit testing.

If you maintain a port without a working Rust toolchain,
please ensure it has one within the next 6 months, or
sunset the port.

It's important for the project as whole to be able to
move forward and rely on modern tools and technologies
and not be held back by trying to shoehorn modern software
on retro computing devices.

Thank you for your understanding.
-- 
debian developer - deb.li/jak | jak-linux.org - free software dev
ubuntu core developer                              i speak de, en

>>> Источник



Проверено: hobbit ()
Последнее исправление: hobbit (всего исправлений: 1)
Ответ на: комментарий от BerlinFall

Ну и, наконец, компилятор не обязан быть распухшим и монолитным; это распространённая особенность современных компиляторов, но не какое‐то врождённое свойство.

Как раз таки распухшие компиляторы - это попытка переложить компетенции программиста на плечи компилятора, а тот факт что llm является черным ящиком - тем более напрягает, хотя бы с точки зрения безопасности… (это все может существовать, но это не про «низкий» уровень, и не про повышенную ответственность/безопасность, на мой взгляд)

PS больше всего напрягает, что раст пропихивают корпораты от мира госбезопасности, не получилось бы как всегда - вы нам не нравитесь, мы вам подписку отключили или бэкдор в ваше ПО автоматом вкомпилировали…

Sm0ke85
() автор топика
Ответ на: комментарий от dataman

А нельзя ли сначала переписать dpkg на C++?

Не надо плохих идей подавать.

firkax ★★★★★
()
Ответ на: комментарий от Sm0ke85

Как раз таки распухшие компиляторы - это попытка переложить компетенции программиста на плечи компилятора

Лишь частично, причём в основном это касается разнообразных оптимизаций, что с годами всё сильнее наслаиваются друг на друга. Вот есть tcc, а есть gcc: язык вроде тот же, система типов такая же, но размер кодовой базы совсем разный; а ведь проверка типов даже в C — это тоже перекладывание некоторой части работы на плечи компилятора.

Я это к тому, что разнообразные чекеры обычно не занимают (или могут не занимать) большую часть компилятора, и разобраться в них проще, чем продраться через сотни слоёв оптимизаций.

BerlinFall
()
Ответ на: комментарий от hateyoufeel

Где я жалуюсь? Я просто правильные опции использую. В числодробилках -O2, в управляющем коде -O0. В редких промежуточных случаях -O1. -O3 вообще ненужно нигде, я его пробовал - итог работал либо так же как -O2 по скорости, либо наоборот медленнее.

firkax ★★★★★
()
Ответ на: комментарий от Sm0ke85

PS больше всего напрягает, что раст пропихивают корпораты от мира госбезопасности, не получилось бы как всегда - вы нам не нравитесь, мы вам подписку отключили или бэкдор в ваше ПО автоматом вкомпилировали…

«Как всегда» это значит, что были множественные прецеденты описанного. Это в каких языках такое было?

vbr ★★★★★
()
Ответ на: комментарий от firkax

всё что вокруг небраузерного джаваскрипта

а я б браузерный запретил. А небраузерный — пожалуйста, ничем не хуже иных скриптописаний, но интерпретатор лучше, чем у многих прочих. Если его запрещать, то надо и другого всякого много, и есть риск выйти на самих себя.

akho ★★
()
Ответ на: комментарий от vbr

«Как всегда» это значит, что были множественные прецеденты описанного. Это в каких языках такое было?

Про языки не скажу, но уже сейчас нас знатно так ограничили в «подписочном» софте (включая ОС’и), доступа к микрокодам процессоров у нас тоже нет, соответственно, там где безопасность сразу применяй эльбрус и т.д.

Все ПО, серверы которого ты не контролируешь, потенциально в любую секунду может стать не твоим, а за ним в трубу полетит весь тобою созданный под эту платформу материал… То же самое происходит и с технологиями (оборудование, запчасти, да даже фирмваре под стм32 с офф сайта не скачаешь как и их «бесплатную» кубеИДЕ, имеется ввиду пока что без «костылей», многие установки остались без надлежащего планового обслуживания/ремонта и т.д. и т.п.). В этой ситуации ЯП - не есть что-то исключительное и неподдающееся контролю, достаточно лишь подсадить на «удобства», чтобы через некоторое время было проблематично с этой «иглы» слезть…

Sm0ke85
() автор топика

реализовать компоненты APT, требующие повышенного внимания с точки зрения безопасности, такие как парсеры форматов deb, ar и tar

О! Как раз недавно безопасно обсуждали безопасный TARmageddon от специалистов по безопасному программированию на расте.

thesis ★★★★★
()
Ответ на: комментарий от unC0Rr

Ты так говоришь, будто бы понимание «почему» избавляет от боли.

Очевидно же, ты ж можешь вернуть указатель на необходимый тебе тип данных и еще несколько удобных применений этому есть…

Sm0ke85
() автор топика
Ответ на: комментарий от vbr

Patreon это не язык программирования с бэкдорами.

Тебе пример «подписочных» историй привели, тебя отключили, ты больше через этот сервис не работаешь, тоже самое можно провернуть с ЯП, а бэкдоры - это сегодня наша реальность, на сколько я знаю…

Как думаешь: «из каких соображений отстранили наших разработчиков от ядра линукс»? (или ты уверен что это просто «повесточка»?)

Sm0ke85
() автор топика
Ответ на: комментарий от aol

Да понятно, что QA это крайне сложный и многосторонний процесс, одним выбором ЯП не ограничивающийся. Тем не менее, растософт настолько хорошо себя зарекомендовал в плане стабильности, что уже само по себе наличие Cargo.toml в дереве исходников для многих как знак качества. Если, конечно, мы об объективной стороне вопроса, а не религиозных предпочтениях отдельных индивидуумов.

Minoru ★★★
()
Последнее исправление: Minoru (всего исправлений: 1)
Ответ на: комментарий от vbr

А речь про язык программирования с открытыми исходниками. Максимум — запретят коммиты.

Все просто: закрыть доступ к git, cargo, llm = профит…

Sm0ke85
() автор топика

Ради одного только пригорания пердаков у луддитов это уже стоило сделать :)

zabbal ★★★★☆
()
Ответ на: комментарий от zabbal

Ради одного только пригорания пердаков у луддитов это уже стоило сделать :)

Вот только смешного в твой фразе ничего нет, это как смеяться над тем что тебя завтра можно как собаку на улицу выкинуть…

Если бы ты про тех луддитов почитал то нашел бы интересные заметки капиталистов (по памяти):

Нежели содержать тягловую лошадь или нанимать на данную работу мужчину - выгоднее нанять тягловую женщину...

Смотреть надо на корень проблем…

Sm0ke85
() автор топика
Ответ на: комментарий от aol

уже наклали в панамку по этому поводу

Собака лает - дистр разрабатывается. Что и как будет представлять из себя Дебьян определяют те, кто его разрабатывает, а не случайные напихуны в рассылке.

zabbal ★★★★☆
()
Ответ на: комментарий от vbr

Итого прецедентов не было, что и требовалось доказать.

У тебя страна отрезана от большей части сервисов, что ты там доказал, ахахах?

Открывай формальную логику и начинай читать с предиката))))

По твоей логике еще тебе можно в полицию обращаться только когда тебя убили, а так ниче, ахахаха)))) Порадовал, конечно)))

Sm0ke85
() автор топика
Ответ на: комментарий от zabbal

Собака лает - дистр разрабатывается. Что и как будет представлять из себя Дебьян определяют те, кто его разрабатывает, а не случайные напихуны в рассылке.

Данное утверждение верно ровно до тех пор пока существует источник финансирования (а вот дальше начинается виляние попой, чтобы всем «угодить»)…

Sm0ke85
() автор топика
Ответ на: комментарий от aol

спас вас верифицирующий инструментарий

Безусловно - ни одна ошибка, от которой защищает верификация, там не проявилась. Всё в строгом соответствии с документацией и гарантиями разработчиков языка.

zabbal ★★★★☆
()
Ответ на: комментарий от LongLiveUbuntu

Будешь под микроконтроллеры писать, поймешь зачем так сделали. Или не поймешь.

В микроконтроллерах вполне на плюсовых темплейтах можно нагородить статический ООП без оверхедов, но с понятными типами.

her_s_gory ★★
()
Ответ на: комментарий от Sm0ke85

Ну непосредственно Git и Cargo вряд ли могут закрыть, но вот закрыть GitHub и crates.io с любой из сторон хоть завтра — вполне реально, и мало кому это понравится.

BerlinFall
()
Ответ на: комментарий от hobbit

Не совсем понятно, зачем там компилятор, да и что такое рантайм раста тоже загадка. Он же все упаковывает в один файл.

Я так понимаю, это речь идет про сборочные зависимости. Мне кажется, давно уже пора перестать вносить в систему компиляторы и прочий сборочный мусор. Сборка должна вестись в отдельных контейнерах, в управляемом окружении, а не вот это все…

usermod
()
Последнее исправление: usermod (всего исправлений: 1)
Ответ на: комментарий от Sm0ke85

переписанные пакеты криптографии работают в разы медленнее Си-шных

для проверки подписи в apt это некритично

sena ★★★
()
Ответ на: комментарий от unC0Rr

Что же тут удивительного? Одно дело внедрить новую полезную фичу, тут хоть знаешь, за что страдаешь. Другое поиметь проблемы на ровном месте, причём без гарантии каких-либо улучшений.

sena ★★★
()
Ответ на: комментарий от zabbal

Нет, речь шла о теоретическом системном языке; и я думаю, что для системного языка неизбежно нужно конструировать нечто совсем императивное (OCaml всё‐таки скорее функциональный, ну а WebAssembly не очень практично для этой цели), просто в силу архитектуры современных процессоров. Языки вроде OCaml плохо ложатся на эту архитектуру, хотя я совсем не против гипотетических процессоров, для которых лямбда‐исчисление — естественная модель вычислений.

BerlinFall
()
Ответ на: комментарий от her_s_gory

зачем компилятор в обязательных зависимостях?

Чтобы собрать пакет на компилируемом языке тебе нужен компилятор этого языка. Ты правда этого не знал?

zabbal ★★★★☆
()
Ответ на: комментарий от zabbal

Чтобы собрать пакет на компилируемом языке тебе нужен компилятор этого языка.

Из самой новости:

объявил о решении добавить код на языке Rust в пакетный менеджер APT

Решили добавить код на Расте в апт. А компилятор нужен, чтобы другие бинарники на расте собирать. Где связь?

Чтобы собрать бинарник на плюсах - нужен компилятор плюсов. Это стало причиной добавлять компилятор плюсов в обязательные зависимости apt?

Ты правда с логикой не очень?

her_s_gory ★★
()
Ответ на: комментарий от her_s_gory

Чтобы собрать бинарник на плюсах - нужен компилятор плюсов. Это стало причиной добавлять компилятор плюсов в обязательные зависимости apt?

Вы же в курсе, что зависимости существуют разных типов, в том числе зависимости для сборки (Build Depends)?

Rootlexx ★★★★★
()
Ответ на: комментарий от Sm0ke85

Стыдно признаться, но всл я использую, у меня машинка на работе вод мелкомягкими сейчас стоит(((

А уходишь в такое отрицание. Так, простите, латентные оффтопиководы только делают…

Короче, как приверженец стоицизма я себе хочу прям пяток плетей выписать))))))

Стоицизм по моему другое означает. А у тебя лютое отрицание и ненависть к себе. Нельзя так. Успокойся, все свои. Пользуйся, чем удобно.

diamond_cat
()
Ответ на: комментарий от Sm0ke85

Все ПО, серверы которого ты не контролируешь, потенциально в любую секунду может стать не твоим, а за ним в трубу полетит весь тобою созданный под эту платформу материал…

И в ту же секунду поднимается огромных масштабов международный скандал, отзывы программ и серверов, потеря огромного количества денег. О да, представляю как это происходит.

Не подумайте, я категорически против слежки и всего такого, но действительно эффективная слежка может быть только при наличии огромной крыши в виде государства. Частным компаниям самим по себе нет смысла такой масштабной слежкой и контролем заниматься. Get real.

diamond_cat
()
Ответ на: комментарий от LongLiveUbuntu

Будешь под микроконтроллеры писать, поймешь зачем так сделали.

Потому что эмбеддщики программировать не умеют. Это всем хорошо известно.

hateyoufeel ★★★★★
()
Ответ на: комментарий от diamond_cat

Частным компаниям самим по себе нет смысла такой масштабной слежкой и контролем заниматься. Get real.

Ты из какой-то параллельной вселенной.

Забудем про то, что отвечал ты на пост о возможностях других государств влиять на бизнес в нашем.

Но вот как раз корпорации собирают безумное количество данных о пользователях. А когда их ловят на нарушении своих обязательств отмазываются проблемами в формировании релизов.

x86_64 ★★★
()
Ответ на: комментарий от diamond_cat

А уходишь в такое отрицание. Так, простите, латентные оффтопиководы только делают…

Ты глупость сморозил

Стоицизм по моему другое означает. А у тебя лютое отрицание и ненависть к себе. Нельзя так. Успокойся, все свои. Пользуйся, чем удобно.

Иди мат часть учи. Не фантазируй себе лишнего, мимо кассы пишешь, видимо молодой еще…

Sm0ke85
() автор топика
Ответ на: комментарий от diamond_cat

И в ту же секунду поднимается огромных масштабов международный скандал, отзывы программ и серверов, потеря огромного количества денег. О да, представляю как это происходит.

Опять совсем не в тему пишешь, кому ты там будешь международно скандалить, иди сейчас поскандаль - благо тем море нынче…

Sm0ke85
() автор топика
Ответ на: комментарий от BerlinFall

LLM же в настоящее время для нас представляется как чёрный ящик

Ничего подобного: https://github.com/koo-ec/Awesome-LLM-Explainability - это целое отдельное направление в исследованиях LLM.

повторить ту или иную LLM можно лишь при наличии колоссального объёма данных и вычислительных ресурсов

Ну если уж ты рассуждаешь про

в учебных целях написать собственный компилятор с собственным borrow‐checker’ом

вместо «повторить gcc», то и речь корректнее вести про «создать RAG для интеграции c LLM» или «разработать MCP интерфейс для агента».

zabbal ★★★★☆
()
Ответ на: комментарий от x86_64

Забудем про то, что отвечал ты на пост о возможностях других государств влиять на бизнес в нашем.

Да, и это плохо на самом деле. И ещё один повод не доверять каким либо государствам, вообще любым. И не надо про патриотизм. Наших людей я безумно люблю, да и не только наших. Вообще эмпатии в мире не хватает…

Но вот как раз корпорации собирают безумное количество данных о пользователях.

…при полной поддержке государств. PRISM, пакеты всяких чиновниц, китайская слежка, Pegasus - you name it! Ну и поддержка государством монополий, само собой, мешающая прорываться частным инициативам, тем более в современном мире, где есть явный спрос на приватность и отсутствие слежки.

diamond_cat
()
Ответ на: комментарий от Sm0ke85

Эдвард Сноуден много шуму наделал. Да блин, тот же бэкдор в xz. Если обнаружиться, что какая либо компания действительно целенаправленно устраивала слежку и отключения по собственной частной инициативе - её отменят. А если по инициативе государства - то не отменят. И это плохо, согласен.

diamond_cat
()

Нормально, ядро уже от Rust зависит, так что в целом ничего не поменяется. Сгорел сарай, гори и хата.

Saakx
()
Ответ на: комментарий от anonymous_incognito

Лишние зависимости - это само по себе плохо

Дык то лишние. А компилятор языка, на котором написан проект, это совершенно точно не лишняя зависимость. Это самая что ни на есть базовая.

zabbal ★★★★☆
()
Последнее исправление: zabbal (всего исправлений: 1)
Ответ на: комментарий от Sm0ke85

Как думаешь: «из каких соображений отстранили наших разработчиков от ядра линукс»?

Никто никого от ядра линукс не отстранял. Это технически невозможно. И даже от разработки ядра никто никого не отстранял, отстранили только от коммитинга в официальные его ветки.

firkax ★★★★★
()
Для того чтобы оставить комментарий войдите или зарегистрируйтесь.